نشرة أمان Nexus - كانون الأول (ديسمبر) 2015

تم النشر في 07 ديسمبر 2015 | تم التحديث في 7 آذار (مارس) 2016

لقد أصدرنا تحديثًا أمنيًا لأجهزة Nexus من خلال تحديث عبر الأثير (OTA) كجزء من عملية الإصدار الشهري لنشرة أمان Android. تم أيضًا إصدار صور برنامج Nexus الثابت إلى موقع Google Developer . يعمل الإصداران LMY48Z أو الأحدث ونظام Android 6.0 مع مستوى تصحيح الأمان بتاريخ 1 ديسمبر 2015 أو الإصدارات الأحدث على معالجة هذه المشكلات. راجع قسم الأسئلة والأجوبة الشائعة لمزيد من التفاصيل.

تم إخطار الشركاء وتقديم تحديثات لهذه المشكلات في 2 نوفمبر 2015 أو قبل ذلك. حيثما أمكن ، تم إصدار تصحيحات التعليمات البرمجية المصدر لهذه المشكلات إلى مستودع Android Open Source Project (AOSP).

إن أخطر هذه المشكلات هو الثغرة الأمنية الحرجة التي يمكن أن تتيح تنفيذ التعليمات البرمجية عن بُعد على جهاز متأثر من خلال طرق متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط. يعتمد تقييم الخطورة على التأثير الذي قد يحدثه استغلال الثغرة الأمنية على الجهاز المتأثر ، بافتراض تعطيل عمليات تخفيف النظام الأساسي والخدمة لأغراض التطوير أو إذا تم تجاوزها بنجاح.

لم يكن لدينا أي تقارير عن استغلال العملاء النشط لهذه المشكلات التي تم الإبلاغ عنها حديثًا. ارجع إلى قسم التخفيف للحصول على تفاصيل حول حماية منصة أمان Android وحماية الخدمة مثل SafetyNet ، التي تعمل على تحسين أمان نظام Android الأساسي. نحن نشجع جميع العملاء على قبول هذه التحديثات على أجهزتهم.

التخفيفات

هذا ملخص لعوامل التخفيف التي يوفرها نظام أمان Android الأساسي وإجراءات حماية الخدمة مثل SafetyNet. تقلل هذه الإمكانات من احتمالية نجاح استغلال الثغرات الأمنية على Android.

  • أصبح استغلال العديد من المشكلات على Android أكثر صعوبة من خلال التحسينات في الإصدارات الأحدث من نظام Android الأساسي. نشجع جميع المستخدمين على التحديث إلى أحدث إصدار من Android حيثما أمكن ذلك.
  • يقوم فريق Android Security بمراقبة إساءة الاستخدام بنشاط من خلال Verify Apps and SafetyNet والتي ستحذر من التطبيقات التي يحتمل أن تكون ضارة على وشك التثبيت. أدوات تجذير الجهاز محظورة داخل Google Play. لحماية المستخدمين الذين يقومون بتثبيت التطبيقات من خارج Google Play ، يتم تمكين Verify Apps افتراضيًا وسيحذر المستخدمين من تطبيقات الجذر المعروفة. يحاول التحقق من التطبيقات تحديد ومنع تثبيت التطبيقات الضارة المعروفة التي تستغل ثغرة أمنية في تصعيد الامتيازات. إذا تم بالفعل تثبيت مثل هذا التطبيق ، فستقوم Verify Apps بإخطار المستخدم ومحاولة إزالة أي من هذه التطبيقات.
  • حسب الاقتضاء ، لا تقوم تطبيقات Google Hangouts و Messenger بتمرير الوسائط تلقائيًا إلى عمليات مثل خادم الوسائط.

شكر وتقدير

نود أن نشكر هؤلاء الباحثين على مساهماتهم:

  • Abhishek Arya، Oliver Chang، and Martin Barbella من فريق Google Chrome Security Team: CVE-2015-6616، CVE-2015-6617، CVE-2015-6623، CVE-2015-6626، CVE-2015-6619، CVE-2015-6633 ، CVE-2015-6634
  • Flanker ( flanker_hqd ) لـ KeenTeam ( @ K33nTeam ): CVE-2015-6620
  • Guang Gong (龚 广) ( oldfresher ، higongguang@gmail.com) لشركة Qihoo 360 Technology Co.Ltd : CVE-2015-6626
  • مارك كارتر ( hanpingchinese ) من EmberMitre Ltd: CVE-2015-6630
  • Michał Bednarski ( https://github.com/michalbednarski ): CVE-2015-6621
  • ناتالي سيلفانوفيتش من Google Project Zero: CVE-2015-6616
  • Peter Pi من Trend Micro: CVE-2015-6616، CVE-2015-6628
  • Qidan He ( flanker_hqd ) وماركو غراسي ( marcograss ) من KeenTeam ( @ K33nTeam ): CVE-2015-6622
  • Tzu-Yin (Nina) Tai: CVE-2015-6627
  • Joaquín Rinaudo ( xeroxnir ) من Programa STIC في Fundación Dr. Manuel Sadosky ، بوينس آيرس ، الأرجنتين: CVE-2015-6631
  • Wangtao (neobyte) لفريق Baidu X-Team: CVE-2015-6626

تفاصيل الثغرات الأمنية

في الأقسام أدناه ، نقدم تفاصيل عن كل من الثغرات الأمنية التي تنطبق على مستوى التصحيح 2015-12-01. يوجد وصف للمشكلة ، والأساس المنطقي للخطورة ، وجدول مع CVE والخطأ المرتبط والخطورة والإصدارات المحدثة وتاريخ الإبلاغ. عند توفرها ، سنربط تغيير AOSP الذي عالج المشكلة بمعرف الخطأ. عندما تتعلق تغييرات متعددة بخلل واحد ، يتم ربط مراجع AOSP الإضافية بأرقام تتبع معرّف الخطأ.

الثغرات الأمنية في تنفيذ التعليمات البرمجية عن بُعد في Mediaserver

أثناء معالجة ملف الوسائط والبيانات لملف تم إنشاؤه خصيصًا ، قد تسمح الثغرات الأمنية في خادم الوسائط للمهاجم بالتسبب في تلف الذاكرة وتنفيذ التعليمات البرمجية عن بُعد كعملية خادم وسيط.

يتم توفير الوظيفة المتأثرة كجزء أساسي من نظام التشغيل وهناك العديد من التطبيقات التي تسمح بالوصول إليها من خلال المحتوى البعيد ، وأبرزها MMS وتشغيل المتصفح للوسائط.

تم تصنيف هذه المشكلة على أنها خطيرة للغاية نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد في سياق خدمة الخادم الوسيط. تتمتع خدمة mediaserver بإمكانية الوصول إلى تدفقات الصوت والفيديو بالإضافة إلى الوصول إلى الامتيازات التي لا يمكن لتطبيقات الجهات الخارجية الوصول إليها بشكل طبيعي.

CVE الأخطاء التي تحتوي على روابط AOSP خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6616 ANDROID-24630158 حرج 6.0 وما دون جوجل الداخلية
ANDROID-23882800 حرج 6.0 وما دون جوجل الداخلية
ANDROID-17769851 حرج 5.1 وما دون جوجل الداخلية
ANDROID-24441553 حرج 6.0 وما دون 22 سبتمبر 2015
ANDROID-24157524 حرج 6.0 08 سبتمبر 2015

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في Skia

يمكن الاستفادة من ثغرة أمنية في مكون Skia عند معالجة ملف وسائط مُعد خصيصًا ، مما قد يؤدي إلى تلف الذاكرة وتنفيذ التعليمات البرمجية عن بُعد في عملية ذات امتيازات. تم تصنيف هذه المشكلة على أنها خطيرة نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد من خلال طرق هجوم متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط.

CVE الأخطاء التي تحتوي على روابط AOSP خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6617 ANDROID-23648740 حرج 6.0 وما دون جوجل الداخلية

رفع الامتياز في Kernel

قد يؤدي ارتفاع ثغرة الامتياز في نواة النظام إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية ضمن سياق جذر الجهاز. تم تصنيف هذه المشكلة على أنها خطيرة للغاية نظرًا لاحتمال حدوث اختراق محلي دائم للجهاز ولا يمكن إصلاح الجهاز إلا عن طريق إعادة وميض نظام التشغيل.

CVE الأخطاء التي تحتوي على روابط AOSP خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6619 ANDROID-23520714 حرج 6.0 وما دون 7 يونيو 2015

ثغرات أمنية عن بعد في تنفيذ التعليمات البرمجية في برنامج تشغيل العرض

توجد ثغرات أمنية في برامج تشغيل العرض والتي ، عند معالجة ملف وسائط ، يمكن أن تتسبب في تلف الذاكرة وإمكانية تنفيذ تعليمات برمجية عشوائية في سياق برنامج تشغيل وضع المستخدم الذي تم تحميله بواسطة خادم الوسائط. تم تصنيف هذه المشكلة على أنها خطيرة نظرًا لإمكانية تنفيذ التعليمات البرمجية عن بُعد من خلال طرق هجوم متعددة مثل البريد الإلكتروني وتصفح الويب ورسائل الوسائط المتعددة عند معالجة ملفات الوسائط.

CVE الأخطاء التي تحتوي على روابط AOSP خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6633 ANDROID-23987307 * حرج 6.0 وما دون جوجل الداخلية
CVE-2015-6634 ANDROID-24163261 [ 2 ] [ 3 ] [ 4 ] حرج 5.1 وما دون جوجل الداخلية

* التصحيح لهذه المشكلة ليس في AOSP. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في Bluetooth

قد تسمح الثغرة الأمنية في مكون Bluetooth في Android بتنفيذ التعليمات البرمجية عن بُعد. ومع ذلك ، هناك عدة خطوات يدوية مطلوبة قبل حدوث ذلك. للقيام بذلك ، قد يتطلب الأمر إقران جهاز بنجاح ، بعد تمكين ملف تعريف شبكة المنطقة الشخصية (PAN) (على سبيل المثال باستخدام ربط Bluetooth) وإقران الجهاز. سيكون تنفيذ التعليمات البرمجية عن بُعد بامتياز خدمة Bluetooth. الجهاز عرضة فقط لهذه المشكلة من جهاز مقترن بنجاح أثناء تواجده بالقرب من المنطقة المحلية.

تم تصنيف هذه المشكلة على أنها عالية الخطورة لأن المهاجم لا يمكنه تنفيذ تعليمات برمجية عشوائية عن بُعد إلا بعد اتخاذ خطوات يدوية متعددة ومن مهاجم محلي تم السماح له سابقًا بإقران جهاز.

CVE علة (ق) خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6618 ANDROID-24595992 * اندرويد عالٍ 4.4 و 5.0 و 5.1 28 سبتمبر 2015

* التصحيح لهذه المشكلة ليس في AOSP. التحديث مضمن في أحدث برامج التشغيل الثنائية لأجهزة Nexus المتوفرة من موقع Google Developer .

رفع نقاط ضعف الامتياز في libstagefright

هناك العديد من الثغرات الأمنية في libstagefright التي يمكن أن تمكن تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق خدمة الخادم الوسيط. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها لاكتساب قدرات عالية ، مثل امتيازات أذونات Signature أو SignatureOrSystem ، والتي لا يمكن الوصول إليها من قبل تطبيقات الجهات الخارجية.

CVE الأخطاء التي تحتوي على روابط AOSP خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6620 ANDROID-24123723 عالٍ 6.0 وما دون 10 سبتمبر 2015
ANDROID-24445127 عالٍ 6.0 وما دون 2 سبتمبر 2015

رفع مستوى ضعف الامتياز في SystemUI

عند ضبط تنبيه باستخدام تطبيق الساعة ، قد تسمح إحدى الثغرات الأمنية في مكون SystemUI لأحد التطبيقات بتنفيذ مهمة على مستوى امتياز مرتفع. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها لاكتساب قدرات عالية ، مثل امتيازات أذونات Signature أو SignatureOrSystem ، والتي لا يمكن الوصول إليها من قبل تطبيقات الجهات الخارجية.

CVE الأخطاء التي تحتوي على روابط AOSP خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6621 ANDROID-23909438 عالٍ 5.0 و 5.1 و 6.0 7 سبتمبر 2015

ثغرة الكشف عن المعلومات في مكتبة الأطر الأصلية

قد تسمح ثغرة الكشف عن المعلومات في مكتبة Android Native Frameworks بتجاوز الإجراءات الأمنية المعمول بها لزيادة صعوبة استغلال المهاجمين للمنصة. تم تصنيف هذه المشكلات على أنها عالية الخطورة لأنه يمكن استخدامها أيضًا لاكتساب قدرات عالية ، مثل امتيازات أذونات Signature أو SignatureOrSystem ، والتي لا يمكن الوصول إليها من قبل تطبيقات الجهات الخارجية.

CVE الأخطاء التي تحتوي على روابط AOSP خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6622 ANDROID-23905002 عالٍ 6.0 وما دون 7 سبتمبر 2015

رفع مستوى ضعف الامتياز في شبكة Wi-Fi

يمكن أن يؤدي ارتفاع ثغرة الامتياز في شبكة Wi-Fi إلى تمكين تطبيق ضار محلي من تنفيذ تعليمات برمجية عشوائية في سياق خدمة نظام مرتفعة. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها لاكتساب قدرات عالية ، مثل امتيازات أذونات Signature أو SignatureOrSystem ، والتي لا يمكن الوصول إليها من قبل تطبيق جهة خارجية.

CVE الأخطاء التي تحتوي على روابط AOSP خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6623 ANDROID-24872703 عالٍ 6.0 جوجل الداخلية

ارتفاع ثغرة أمنية في خادم النظام

يمكن أن يؤدي ارتفاع ثغرة الامتياز في مكون خادم النظام إلى تمكين تطبيق ضار محلي من الوصول إلى المعلومات المتعلقة بالخدمة. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها لاكتساب قدرات عالية ، مثل امتيازات أذونات Signature أو SignatureOrSystem ، والتي لا يمكن الوصول إليها من قبل تطبيقات الجهات الخارجية.

CVE الأخطاء التي تحتوي على روابط AOSP خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6624 ANDROID-23999740 عالٍ 6.0 جوجل الداخلية

ثغرات الكشف عن المعلومات في libstagefright

هناك ثغرات أمنية في الكشف عن المعلومات في libstagefright أنه أثناء الاتصال بالخادم الوسيط ، يمكن أن يسمح بتجاوز الإجراءات الأمنية المعمول بها لزيادة صعوبة استغلال المهاجمين للمنصة. تم تصنيف هذه المشكلات على أنها عالية الخطورة لأنه يمكن استخدامها أيضًا لاكتساب قدرات عالية ، مثل امتيازات أذونات Signature أو SignatureOrSystem ، والتي لا يمكن الوصول إليها من قبل تطبيقات الجهات الخارجية.

CVE الأخطاء التي تحتوي على روابط AOSP خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6632 ANDROID-24346430 عالٍ 6.0 وما دون جوجل الداخلية
CVE-2015-6626 ANDROID-24310423 عالٍ 6.0 وما دون 2 سبتمبر 2015
CVE-2015-6631 ANDROID-24623447 عالٍ 6.0 وما دون 21 أغسطس 2015

ثغرة أمنية في الكشف عن المعلومات في الصوت

يمكن استغلال ثغرة أمنية في مكون الصوت أثناء معالجة ملف الصوت. قد تسمح مشكلة عدم الحصانة هذه لتطبيق ضار محلي ، أثناء معالجة ملف تم إنشاؤه خصيصًا ، بالتسبب في الكشف عن المعلومات. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها لاكتساب قدرات عالية ، مثل امتيازات أذونات Signature أو SignatureOrSystem ، والتي لا يمكن الوصول إليها من قبل تطبيقات الجهات الخارجية.

CVE الأخطاء التي تحتوي على روابط AOSP خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6627 ANDROID-24211743 عالٍ 6.0 وما دون جوجل الداخلية

ثغرة الكشف عن المعلومات في الإطار الإعلامي

هناك ثغرة أمنية في الكشف عن المعلومات في Media Framework والتي أثناء الاتصال مع خادم الوسائط ، قد تسمح بتجاوز الإجراءات الأمنية المعمول بها لزيادة صعوبة استغلال المهاجمين للمنصة. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها أيضًا لاكتساب قدرات عالية ، مثل امتيازات أذونات Signature أو SignatureOrSystem ، والتي لا يمكن الوصول إليها من قبل تطبيقات الجهات الخارجية.

CVE الأخطاء التي تحتوي على روابط AOSP خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6628 ANDROID-24074485 عالٍ 6.0 وما دون 8 سبتمبر 2015

ثغرة أمنية في الكشف عن المعلومات في شبكة Wi-Fi

قد تسمح الثغرة الأمنية في مكون Wi-Fi للمهاجم بالتسبب في قيام خدمة Wi-Fi بالكشف عن المعلومات. تم تصنيف هذه المشكلة على أنها عالية الخطورة لأنه يمكن استخدامها لاكتساب قدرات عالية ، مثل امتيازات أذونات Signature أو SignatureOrSystem ، والتي لا يمكن الوصول إليها من قبل تطبيقات الجهات الخارجية.

CVE الأخطاء التي تحتوي على روابط AOSP خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6629 ANDROID-22667667 عالٍ 5.1 و 5.0 جوجل الداخلية

ارتفاع ثغرة أمنية في خادم النظام

قد يؤدي ارتفاع ثغرة الامتياز في خادم النظام إلى تمكين تطبيق ضار محلي من الوصول إلى المعلومات المتعلقة بخدمة Wi-Fi. تم تصنيف هذه المشكلة على أنها متوسطة الخطورة لأنه يمكن استخدامها للحصول على أذونات " خطيرة " بشكل غير صحيح.

CVE الأخطاء التي تحتوي على روابط AOSP خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6625 ANDROID-23936840 معتدل 6.0 جوجل الداخلية

ثغرة أمنية في الكشف عن المعلومات في SystemUI

قد تؤدي ثغرة الكشف عن المعلومات في SystemUI إلى تمكين تطبيق ضار محلي من الوصول إلى لقطات الشاشة. تم تصنيف هذه المشكلة على أنها متوسطة الخطورة لأنه يمكن استخدامها للحصول على أذونات " خطيرة " بشكل غير صحيح.

CVE الأخطاء التي تحتوي على روابط AOSP خطورة الإصدارات المحدثة ذكرت تاريخ
CVE-2015-6630 ANDROID-19121797 معتدل 5.0 و 5.1 و 6.0 22 يناير 2015

أسئلة وأجوبة شائعة

سيراجع هذا القسم إجابات الأسئلة الشائعة التي قد تطرأ بعد قراءة هذه النشرة.

1. كيف يمكنني تحديد ما إذا كان قد تم تحديث جهازي لمعالجة هذه المشكلات؟

يعمل الإصداران LMY48Z أو الأحدث ونظام Android 6.0 مع مستوى تصحيح الأمان بتاريخ 1 ديسمبر 2015 أو الإصدارات الأحدث على معالجة هذه المشكلات. راجع وثائق Nexus للحصول على إرشادات حول كيفية التحقق من مستوى تصحيح الأمان. يجب على الشركات المصنعة للأجهزة التي تتضمن هذه التحديثات تعيين مستوى سلسلة التصحيح على: [ro.build.version.security_patch]: [2015-12-01]

التنقيحات

  • 07 ديسمبر 2015: نُشر في الأصل
  • 09 ديسمبر 2015: مراجعة النشرة لتشمل روابط AOSP.
  • 22 كانون الأول (ديسمبر) 2015: تمت إضافة الرصيد المفقود إلى قسم الشكر والتقدير.
  • 07 آذار (مارس) 2016: تمت إضافة الرصيد المفقود إلى قسم الشكر والتقدير.